WordPress 宣布全链路安全计划：插件与主题更新将引入 24 小时延迟机制
WordPress 官方近日宣布启动名为 Protect The Shire 的安全倡议，同时针对插件与主题更新引入临时性的 24 小时审核延迟，以应对日益严峻的软件供应链攻击风险。
背景：供应链攻击已成行业顽疾
近年来，开源生态屡遭供应链攻击——攻击者将恶意代码植入热门依赖库，进而扩散至所有相关软件、插件与主题。WordPress 指出，npm、PyPI、GitHub、RubyGems 等平台均已遭受此类攻击，而 WordPress 自身的 "Essential Plugins 事件" 更是印证了威胁的真实性：部分优质插件在不知情的情况下被出售给怀有恶意的新作者。
由于大量插件和主题由个人志愿者维护，单点风险极高。WordPress 将当前阶段描述为"liminal period"（过渡期）——项目正从旧模式向新模式转型，既不沿用以往做法，也尚未完全落地新方案。
核心变化：24 小时延迟 + Protect The Shire 计划
更新延迟机制
此前，插件或主题作者推送更新后，系统会立即向用户分发。而现在，所有更新将暂缓 24 小时再通过自动更新推送给用户，以便官方进行安全审核。
WordPress 表示，随着系统成熟，这段延迟有望大幅缩短至"分钟级"。
Protect The Shire 计划
官方同步推出 Protect The Shire 倡议，旨在全面提升 WordPress.org 目录和仓库中所有代码的安全性。具体技术细节尚未披露，但工作将在幕后推进，成功与否将通过"漏洞和攻击从未触及用户"来衡量。
插件团队已启用 AI 辅助审核
早在 2026 年 1 月，插件团队已披露其内部扫描工具升级了 AI 辅助能力，新增数十项自动化检查。该工具用于审查插件提交，可识别数百种潜在问题，并将重复性任务自动化：
- 核查插件名称是否与已发布插件冲突
- 确保品牌使用符合规范
- 验证插件所有权归属
影响与建议
| 群体 | 影响 | 建议 |
|---|---|---|
| 插件/主题开发者 | 更新发布后需等待 24 小时才能触达用户；freemium 插件的邮件营销节奏将受影响 | 提前规划版本发布节奏，预留审核窗口期；考虑接入 Gandalf-AI 等预提交扫描工具 |
| WordPress 用户 | 自动更新安全性提升，但紧急安全更新响应速度暂时受限 | 持续关注官方公告，重大漏洞修复可能仍享有快速通道 |
| 安全研究者 | 可参与 Protect The Shire 计划的漏洞赏金与社区协作 | 关注 WordPress 插件团队自动化审核能力的演进方向 |
